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AUTOMATIC DUPLEXING FOR DATA PROCESSORS 
R. L. Brady, J- M. Dunn and E . M. Murray 
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The drawing shows the interconnections used to provide a transfer of a 
function from one data processing system to another automatically, and 
to indicate by lights and/or bells that the transfer occurred. In the 
event of failure of both systems, a major alarm is activated and a reset 
is provided for the attached function. 

In operation, the prime system 1 normally controls the attached 
function (e.g., a toll ticketing system 2) by the digital output (DO) and 
digital input (DI) features on the system. These DI/DO features are con- 
nected to the attached function 2 by a transfer switch 5. 

A backup system 13 with DI/DO features is also connectable to the 
toll ticketing system 2 by switch 5. The systems 1 and 13 preferably 
utilize IBK Sys ten/ 7 processors. 

The transfer switch 5 is activated by transfer controls 5. The 
transfer controls 6 test the condition of the status detectors 7 and 8 
and connect opting system 1 or 13 to the attached function 2. If the 
status de'£e%^^^P7 and 8 indicate a failure condition, they activate alarm 
bell control 9 and alarm light controls 10 or 11. 
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AUTOMATIC DUPLEXING FOR DATA PROCESSORS - Continued 
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Vorbeugen staff 
Reparieren 

Ein Diagnose-Chip iiberwachf Betriebszustande in PCs 




Ausfalle von Computern konnen 
teure Folgen haben. Wer es darauf 
ankommen lafit, geht ein hohes Ri- 
siko ein. Besser ist es, solchen Ka- 
tastrophen vorzubeugen und si- 
cherheitsrelevante Betriebspara- 
meter permanent zu uberwachen. 
Was bisher eine komplexe Schal- 
tung erforderte. ist jetzt alles auf 
einem einzigen Chip integriert, der 
als »Fruhwarnsystem m Temperatu- 
ren, Betriebsspannungen und Luf- 
terdrehzahlen kontrolliert. Die 
Langzeit-Systemzuverlassigkeit er- 
hdht sich damit erheblicK ohne 
dafi die Kosten spiirbar steigen. 
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Eine je grdfiere Rolle Computer im taglichen Leben 
ubernehmen. urn so hoher werden die Schaden bei ei- 
nem Versagen. Die reinen Reparaturkosten - Ersatztei- 
le und Arbeitsldhne - sind dabei noch das wenigste. Sehr 
viel mehr Arger und Kosten entstehen. wenn die damit 
ausgefuhrten Arbeiten stocken oder wenn wichtige Daten 
auf einer Festplatte verlorengehen bzw. uber langere Zeit 
nicht zuganglich sind. Dann lassen sich haufig zugesagte 
Termine nicht einhalten, es drohen Konventionalstrafen 
groBe Geschafte konnen platzen. Im schlimmsten Fall gera- 
ten sogar Menschenleben in Gefahr - etwa im medizini- 
schen Bereich oder in der Luft- und Raumfahrt Gegen der- 
artige AusfaUe geeignete Vorsorge zu treffen, ist weit bes- 
ser und im Endeffekt viel billiger als blind auf ein immer- 
wahrendes Funktionieren zu vertrauen. 

Laut Ermittlungen des US-Marktforschungsunterneh- 
niens Forrester Research liegen im gewerblichen Bereich 
die Kosten fur einen PC inklusive der Ausfall-Folgeschaden 
durchschnittlich bei rund 8000 $ pro Jahr. Das ist weit 
mehr als der Anschaffungspreis. Die ComputerhersteUer 
haben mzwischen erkannt, daB es dem Anwender weniff 
nutzt, wenn die PCs selbst immer billiger werden. Vielmehr 
mussen die Nebenkosten sinken. Statt liber den Preis muB 
der Wettbewerb liber Qualitat und Zuverlassigkeit aussre- 
tragen werden. 5 

Ein PC braucht also ein Oberwachungssystem, das die 
wesentlichen Betriebszustande registriert und im Fehlerfall 
geeignete MaBnahmen einleitet, die groBere Schaden ver- 
hindern. Das muB automatisch ablaufen; der Anwender 
soil damit nicht belastet sein. Die wichtigsten zu uberwa- 
chenden GroBen sind Temperaturen, Versorgungsspan- 
nungen und die DrehzahJen von Luftern. Das ganze Ober- 
wachungssystem soli dabei die Kosten des Gerats nicht 
uber Gebuhr in die Hohe treiben. Dazu mussen moglichst 
alle Funktionen auf einem Chip integriert sein. 

Mit dem LM78 stellt National Semiconductor jetz^nen 
universellen Sicherheitsbaustein vor. mit dem sich ein 
komplettes Datenerfassungssystem zur Fruhwarnung bei 
Fehlfunktionen realisieren laBt. 



Elektronik 21/1996 



Bauelemerite 



Sicherheits<Ihip 



Bis zu neun Tentperaturen uberwmhen 

Viele Ausfalle sind die Folge von Oberhitzung. Die Sy- 
stemsicherheit steigt ganz wesentlich, wenn an entschei- 
denden Stellen (etwa an der CPU und an einigen anderen 
wichtigen Chips) die Temperatur kontrolliert wird. Wenn 
sie einen bestimmten Grenzwert iibersteigt, miissen - noch 
rechtzeitig bevor ein Schaden entsteht - geeignete Schutz- 
mafinahmen anlaufen. 

Die „klassischeiT Temperatursensoren fur solche 
Zwecke sind NTC-Widerstande. Sie sind zwar auBerst bil- 
Ug, haben aber den Nachteil, daB sie nichtlinear arbeiten. 
Die Kerinlinte zll llftgarmmrttll. tfflmlm uUilgun Anfwand- 
Gunstiger sind integrierte Silizium-Temperatursensoren 
- ICs mit Sensorelement und Linearisierungsschaltung auf 
demselben Chip. Sie geben eine zur Temperatur proportio- 
nale Spannung ab und sind mittlerweile schon sehr preis- 
gunstig. Auf diesem Gebiet verfiigt National Semiconductor 
uber umfangreiche Erfahrimgen; die Typen LM34, LM35 
und viele andere verkaufen sich seit Jahren bestens. 

Nun sind innerhalb eines digitalen Gesamtsystems ana- 
loge Temperatursensoren ungiinstig. Die Industrie verlangt 
nach JntelligenterT Versionen mit digitalem Ausgang. So 
entwickelte National Semiconductor in enger Kooperation 
mit flihrenden Computerherstellern den LM75, der auBer 
dem eigentlichen Sensorelement einen 9-Bit-Delta-Sigma- 
A/D-Umsetzer und eine I 2 C-Bus-Schnittstelle enthalt. Er 
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Bild 1. Die Temperatur-Hysterese beim ff OS"-Ausaang des LM75 
(Overtemperature Shutdown) verhindert ein allzu haufiges Schal- 
ten bei kleinen Schwankungen urn die Grenztemperatur. 



miBt Temperaturen im Bereich -55 °C bis +125 °C mit ei- 
ner Auflosimg von 0,5 K und einer Toieranz (zwischen 0 °C 
und +100 °C) von ±2 %. Die MeBwerte gibt er in digitalisier- 
ter Form an das System ab. Die Eigenstromaufnahme von 
250 \xA (im Shutdown-Modus niir 10 ^A) schlieBt MeBwert- 
verfalschungen aus; das kleine Gehause (SO-8 oder SOT-8) 
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Eine starke Verfoindung! 

1 6 Ampere in SchneidWemmtechnik, ist das mogiich? Lumberg hat 
mit Macromodut eine L6sung entwickelt. 
Endlich ist das lastige Crimpen vorbei. Macromodul bietet Ihnen 
die Moglichkeit, bei ihren Anwendungen die rationelle Schneid- 
klemmtechnik zu verarbeiten. 

Fehlsteckung? Nein Oanke! Durch die Kodierung ist eine 
Fehlsteckung unmSglich. 
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Bauelemente 
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BiU 2. An einen IM7B lassen siich bis zu adrt IM75 ah extern© 
Tempsraftursensoren onschlSeBen - ODEK-verfaiOpf? uber den B71- 
Eingcing UBoard Tennperafure Intemipf*). 



hat eine geringe thermische Tragheit. Wenn die Tempera- 
tur einen bestimmten voreingestellten Wert uberschreitet 
sendet der LM75 ttber seinen Obertemperatur-Schaltaus- 
gang LOS") ein Signal zum Host-Rechner, was in diesem 
einen Interrupt auslost. Eine programmierbare Hysterese 
sorgt dafiir, daB bei einem Absinken der Temperatur unter 

tnn£^ZT dBT Aus & ang ^ ht Sof0It zu ^ ck schaltet, ©GDftHr IZmQflroHte 
sondern erst bei einer etwas tieferen Temperatur (Bild 1) 

Der LM75 laBt sich sehr einfach in Mikrocomputersysteme 

integrieren und wird bereits in vielen PCs verwendet. Der 

optimale Platz ist auf dem Motherboard direkt neben der 

LrU. 



Der jetzt neu vorgestellte LM78 ist eine wesentliche Er- 
weiterung. Sein TemperaturmeBteil ist weitgehend vom 
LM75 ubernommen, dazu hat er aber noch eine ganze Rei- 
he von zusatzlichen Funktionen. Der TemperaturmeBbe- 
reich ist -10 °C bis +100 °C, die Toleranz ist dabei ±3 K, die 
Auflosung IK- das reicht in der Praxis vollig aus. Er 
nimmt im aktiven Betrieb einen Strom von nur 1 mA auf. 
dadurch bleibt die Eigenerwarmung des Chips minimal! 
und die Temperaturmessung wird nicht spfirbar verfalscht! 

Meist sind in einem Gerat aber an mehreren Stellen 
Temperaturen zu tiberwachen - an alien leistungshungri- 
gen Chips (auBer an der CPU z.B. auch am MPEG-Chip) 
oder im Netzteil. Dazu lassen siclran den LM78 bis zu acht 
LM75 als externe Temperatursensoren anschlieBen 
(Bild 2}. Hierfiir dient der I 2 C-Bus in Verbindung mit dem 
Eingang BTI (= Board Temperature Interrupt). Der Bus 
ubertragt fiber die Leitungen „SDA** und ..SCK" nur Takt 
und Daten, jedoch kein w Chip-Select"-Signai; dieses steckt 
in einer Codierung, die vor den MeBdaten iibertragen wird. 
An jedem Sensor laBt sich dabei ein eigener digitaler 8-Bit- 
Identifikationscode einstellen. Beim LM75 sind fiinf Bits in- 
nerlich fest vorgegeben. die anderen drei sind fiber Pins 
programmierbar (Bild 2). Die OS-Ausgange aller LM75 sind 
offene Drains und lassen sich in einer ODER-Verknupfung 
parallelschalten („ wired OR"). Deren Ausgang wird an den 
BTI-Eingang des LM78 angeschlossen. Wenn nur bei ei- 
nem LM75 die Temperatur den Grenzwert fibersteigt, wird 
ein Interrupt ausgelost. Welche weiteren MaBnahmen die- 
ser dann in Gang setzt, kann der Systementwickler selbst 
festlegen - etwa Total- oder Teilabschaltung sowie auch 
das Aufleuchten einer Warn-LED oder eine Klartext-Ein- 
blendung auf dem Bildschirm. 
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Bild 3. Die analogen Eingange messen positive und negative Spannungen. 
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Nur die Temperaturen zu uberwachen, genfigt aber 
nicht. Ebenso kann es zu Fehlfunktionen kommen, wenn 
irgendeine Versorgungsspannung nicht stimmt. Der LM78 
hat dafur sieben analoge Eingange. davon fiinf mit einem 

Eingangsbereich 0 bis 

+4,096 V fur positive 

Spannungen. GroBere 
Spannungen (+5 V, 
+12 V) erfordern ge- 
eignete Teiler. Zwei 
Eingange sind fiir ne- 
gative Spannungen 
ausgelegt (z.B. -5 V 
und -12 V); hier sit- 
zen invertierende 
Operationsverstarker, 
deren „+**-Eingange 
mit Masse verbunden 
sind und die extern 
mit passenden Wider- 
standen beschaltet 
werden. Die Toleranz 
bei der Spannungs- 
messung ist ±1 %. Al- 
le sieben Spannungs- 
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Chassis 
Security 

SMI# IN 



BiM 4. Ober die dtgrfalen Eingange werden Lufferdrehzahlen, Cbertemperatur-Mel- 
dungen von exfemen Temperatursensoren und unerlaubtes Offnen des Gehauses 
uberwacht sowie die V c -Werre des Prozessors eingeJesen. 
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Bild 5. Wenn 
das Gehause 
vom Besitzer 
geoffnet wird, 
fallr Licht auf 
die Fotodiode, 
und ein Flipflop 
kippt um - oucn 
wenn das Ge- 
rat ausgeschal- 
tet ist. Das Idart 
GaranKeanspru- 
che. 



eingange und der MeBwert des internen 
Temperatursensors gelangen iiber einen 
8:1 -Multiplexer der Reihe nach auf den 
A/D-Umsetzer (Bild 3); ein Zyklus dauert 
etwa 1 s. Es handelt sich dabei um einen 
Delta-Sigma-Umsetzer mit 8 Bit Auflo- 
sung; 1 LSB entspricht einer Eingangs- 
spannung von 16 mV. Die digitalisierten 
Werte werden in Registern abgelegt und 
bei jedem Durchlauf aktualisiert. 

Der Anwender kann nun fur diese MeB- 
groBen untere und obere Grenzwerte fest- 
legen und diese in digitalisierter Form 
(8 Bit) in ein RAM („ Watchdog-Register") 
auf dem LM78-Chip einspeichern. Der 
Baustein vergleicht nun standig die 
MeB werte mit den Grenzwerten; sobald 
eine der MeBgrdBen aus dem zulassigen 
Bereich heraustritt, lost das wieder einen 
Interrupt aus. 

Eine Besonderheit hat der LM78 noch 
fur Pentium- und Pentium-Pro-Chips: Bei 
den hohen Taktfrequenzen bis zu 200 MHz 
reagieren diese sehr empfindlich auf un- 
terschiedliche Versorgungsspannungen. 
Die maximale Arbeitsfrequenz erreichen 
sie nur, wenn die Spannung stimmt; Ab- 
weichungen von einigen Zehntel Volt kon- 
nen schon zu Einbufien fiihren. Die Chips 
unterliegen dabei Schwankungen zwi- 
schen den einzelnen Herstellungslosen. 
Der optimale Spannungswert wird vom 
Hersteller in jedes Exemplar in Form ei- 
nes 4-Bit-Digitalcodes fest einprogram- 
miert. Der LM78 hat deshalb vier An- 
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Bild 6. Die Gesamt- 
Blocicschaltung des 
LM78. Alles paBt in 
ein 44poliges SMD- 
Gehause. 



"Power Switch Bypass" 
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schlusse CV ID W ), urn diesen Wert auszulesen und mit in die 
uberwachungsfunktion einzubeziehen. 

Auch Liiffer-Drehzahlen werden gemessen 

Wie die Praxis zeigt. sind elektromechanische Teile deut- 
lich storanfalliger als Siliziumchips. Fatale Folgen kann es 
haben, wenn z.B. ein Liifter stehenbleibt: Der Rechner wird 
uberhitzt und fallt sehr bald aus. Besonders gefahrdet sind 
moderne hochstintegrierte ICs wie Pentium. Pentium-Pro, 
MPEG usw. mit Millionen von Transistoren und sehr hohen 
Taktfrequenzen. Sie setzen auf kleinstem Raum bis zu 
15 W in Warme urn und haben deshalb meist einen eige- 
nen kleinen Lufter direkt auf dem Gehause sitzen. Dieser 
ist ein Sicherheitsbauteil: Ein Stillstand hat nach kurzer 
Zeit den Tod des Chips zur Folge. Damit ist das ganze Gerat 
erst einmal lahmgelegt. 

Im das zu verhindern. ist eine Drehzahluberwachung bei 
alien Luftern unumganglich. Ausfiihrungen mit Tachome- 
terausgang sind bereits in Produktion; sie geben digitale 
Impulse mit einer Frequenz proportional zur Drehzahl ab. 



Diese gelangen zum LM78, dieser miBt deren Periodendau- 
er und bildet daraus ein 8-Bit-Wort. Je groBer dieser Wert, 
um so kleiner die Drehzahl. „255 M bedeutet sehr niedrig 
oder Stillstand. Programmierbare Frequenzteiler gestatten 
eine Anpassung an verschiedene Drehzahlen. Die ermittel- 
ten Werte werden wie die Temperatuten und Spannungen 
in Registern abgelegt und mit vorgegebenen Untergrenzen 
verglichen. Bei zu niedriger Drehzahl (etwa aufgrund von 
Verschmutzung) oder Stillstand wird auch wieder ein Inter- 
rupt ausgelost (BUd 4). Der LM78 hat drei Lufler-Eingange, 
zwei davon sind voih Anwender fur Drehzahlen von 1 100 
bis 8800 U/min programmierbar, der dritte ist fur eine 
feste Drehzahl von 4400 U/min ausgelegt. 

Fiir Interrupts sind zwei Hardware-Leitungen vorgese- 
hen (SMI und MI/IRQ), dabei sind Maskierungen auf ver- 
schiedenen Ebenen moglich. 



Gehause unerlaubt geofff net? 

Nicht wenig Schaden an Computern entstehen auch da- 
durch, daB der Besitzer das Gehause offnet und eigen- 




Bild 7. Typische Anwendongsschaltung des IM78 in einem Rechner mit alien genonnten Oberwachungsfunktionen. 
64 
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machtig darin herummanipuliert. Um Meinungsverschie- 
denheiten iiber Garantieanspriiche zweifelsfrei klaren zu 
konnen, wollen die Hersteller feststellen konnen, ob je- 
mand das Gerat geoffnet hat - nach Moglichkeit per Soft- 
wareabfrage. 

Auch diese Funktion bietet der LM78. Dazu dient eine 
kleine externe Zusatzschaltung, bestehend aus einem Sen- 
sor, der das Offnen registriert, und einem CMOS-Flipflop. 
Beide sind immer in Betrieb. auch wenn der Rechner aiis- 
geschaltet ist; sie werden von der Reservebatterie auf dem 
Motherboard versorgt, die auch die Echtzeituhr speist. Der 
Sensor - etwa eine Fotodiode - wird durch Offnen des 
Gehauses aktiviert und laBt das Flipflop von L nach H um- 
kippen (Bild 5). Fur dieses Signal hat der LM78 den Ein- 
gang ^Chassis Intrusion", dariiber laBt sich der Zustand 
des Flipflops von der GPU her abfragen. 

Nach einem „ofiBziellen a Oflhen wird das Flipflop wieder 
in den Ausgangszustand zuriickgesetzt. Das kann aber nur 
speziell geschultes Servicepersonal, nicht der durchschnitt- 
liche Anwender. 



Manchmal entstehen Systemfehler bereits wahrend des 
Bootvorgangs. Um nachvollziehen zu konnen, was hier ab- 
lauft. hat der LM78 ein POST-RAM (Power-On Self-Test) auf 
dem Chip. Es ist als FIFO organisiert und halt bis zu 
32 Bytes fest, die iiber den ISA-Bus laufen, wahrend der 
Computer bootet. Beim Einschalten ist es sofort in Betrieb 
und registriert den nachfolgenden Ablauf. 

Noch an anderer Stelle verhindert der LM78 Schaden: 
Schaltet der Benutzer den Computer versehentlich zu &iih 
aus, wahrend noch ein Vorgang lauft - etwa eine Daten- 
iibertragung oder eine Abspeicherung auf der Festplatte, 
dann wiirde ein heilloses Datendurcheinander entstehen. 
Davor schiitzt der ^Power Switch Bypass**: Er itberbruckt 
wahrend kritischer Aktionen mit einem externen MOSFET 
den Hauptschalter, bis diese beendet sind. 

Bild 6 zeigt die Blockschaltung des LM78. Es gibt fiir den 
LM78 eine Experimentierplatine, mit der sich die Eigen- 
schaften testen Iassen; sie paBt in einen normalen ISA-Bus- 
Steckplatz im PC (16 Bit). Zur Kommunikation iiber den 
I 2 C-Bus laBt sie sich auch an die parallele Druckerschnitt- 
stelle anschliefien. 



Keine Sorge macht man sich bei National Semiconductor 
iiber den Verkauf: Viele Rechnerherstelier setzen den 
LM78 schon auf ihren Motherboards ein, die Tendenz ist 
stark steigend. Bester Kunde ist Intel. AuBer in PCs ist er 
auch fiir viele andere Gerate interessant: Workstations, 
Mainframe-Computer, Ethernet-Router, Server, Telefon- 
vermittlungen, Mobilfunk-Basisstationen. MeB- und Test- 
gerate, medizinische Gerate, industrielle Steuerungen und 
vieles mehr. 

Der niedrige Preis von etwa 5,50 $ (bei 1000 Stuck) laBt 
millionenfache Nachfrage pro Jahr erwarten. Und ein 
gleichwertiges Konkurrenzprodukt ist bisher noch nir- 
gends in Sicht. □ 




Besuchen Sie uns auf der electronics 96. Halle 21, Stand 21 DOS 
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The numbers of the following references are cited in this Office Action for the first time and 
will be used consecutively throughout the examination proceed.ngs: 
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The documents presently on file have the following deficiencies: 

1 The title of the present invention is incorrect insofar as it is not the processor fail- 
ure that is embedded in the case of the subject matter of the application, but the 
failure of an embedded processor is dealt with. The "Sicherungsverwaltungssys- 
tem" ("backup management system") is. as far as can be seen, a backup system. 

2. It is not possible to gather from claim 2 that the state machine 1 03 is included in 
the high availability controller 101 . 

3. Claim 4 fails to contain reference numeral 102 for the cell referred to. 

4 The indication "power switch for controlling bulk power" in claims 5 and 12 is un- 
clear and incorrect. The correct designation would be: power supply switch. 



2' 



5. Claim 10 must be deleted because it does not contain any method features. 

6. Claim 22 only repeats the features of claim 12. 

7. Claim 16 is formulated as a parallel claim, and claims 17-20 are formulated as 
claims depending on said parallel claim. Parallel claims are, however, only ad- 
missible, if they refer to a solution of the same task which is independent of the 
solution according to the main claim. This condition is here not fulfilled, since 
claim 16 only combines the features of claims 1 and 2. Claims 17-20 repeat fea- 
tures of claims 1,3,6 and 7. 

References 1 and 2 have been ascertained as prior art. 

Reference 1 discloses: a monitoring system in a computer, comprising a plurality of system 
sensors for detecting power, temperature and cooling fan speed, said system sensors being 
coupled to a management processor (cf. Fig. 7. LM78) which monitors the output signals of 
said sensors and triggers control signals for the devices monitored (by generating inter- 
rupts). 

Reference 2 discloses that, in addition to a management processor, also a "high availability 
controller (backup system) is provided, which has supplied thereto a status signal from the 
management processor and which, after having evaluated said status signal, will take over 
the function of the management processor, if said management processor should be inac- 
tive. 

This prior art is, however, not able to jeopardize the novelty and the inventive step of the 
subject matter of the application. 

II. 

In order to allow grant of the patent sought, the following requirements wilt have to be com- 
plied with : 

1. The deficiencies specified under I. will have to be eliminated. 

2. The prior art known from references 1 and 2 should be taken into account in the intro- 
duction to the specification, and the differences between said prior art and the subject 
matter of the application should be emphasized. 



3. The introduction should be adapted to the new set of claims. 

4. On page 11, line 16, reference numeral 105 should be replaced by the correct reference 
numeral 101 and on page 12, line 12. the "controller" should be provided with said refer- 
ence numeral (101). 

5. The statements made on page 12, last paragraph to page 13 will have to be deleted, 
since they do not contribute to an explanation of the invention. 

III. 

If the above requirements are not complied with and if a deviating opinion is not sufficiently 
substantiated, rejection of the application will have to be reckoned with. 

Patent Examiner for class G06F 
Dipl.-lng. Hafner 
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